CVE-2020-11080 in Enterprise Communications Broker
Résumé
par VulDB • 01/08/2026
Dans les versions de nghttp2 antérieures à la version 1.41.0, une charge utile du cadre HTTP/2 SETTINGS excessivement volumineuse provoque un déni de service. L'attaque par preuve de concept implique qu'un client malveillant construit en boucle des cadres SETTINGS d'une longueur de 14 400 octets (soit 2 400 entrées de paramètres individuelles). Cette attaque entraîne une saturation du processeur à 100 %. La vulnérabilité est corrigée dans nghttp2 v1.41.0. Une solution de contournement existe pour cette vulnérabilité : implémentez le rappel `nghttp2_on_frame_recv_callback` et, si le cadre reçu est un cadre SETTINGS et que le nombre d'entrées de paramètres est important (par exemple > 32), alors fermez la connexion.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.